# 현재 커널 설정 확인
zcat /proc/config.gz 2>/dev/null || cat /boot/config-$(uname -r)

CONFIG_BPF=y
CONFIG_BPF_SYSCALL=y
CONFIG_BPF_LSM=y
CONFIG_DEBUG_INFO_BTF=y

# BPF LSM이 활성화되었는지 확인
cat /sys/kernel/security/lsm
# 목록에 "bpf"가 포함되어야 함

# 포함되지 않은 경우, 커널 부트 매개변수에 추가:
# /etc/default/grub 편집 후 GRUB_CMDLINE_LINUX에 다음 추가:
#   lsm=lockdown,capability,landlock,yama,apparmor,bpf

# 그런 다음 grub 업데이트 후 재부팅:
sudo update-grub
sudo reboot

# BPF LSM 활성화 스크립트 생성
cat > /tmp/enable_bpf_lsm.sh << 'EOF'
#!/bin/bash
GRUB_FILE="/etc/default/grub"
if grep -q "lsm=" "$GRUB_FILE"; then
    sudo sed -i 's/lsm=[^""]*/lsm=lockdown,capability,landlock,yama,apparmor,bpf/' "$GRUB_FILE"
else
    sudo sed -i 's/GRUB_CMDLINE_LINUX="\(.*\)"/GRUB_CMDLINE_LINUX="\1 lsm=lockdown,capability,landlock,yama,apparmor,bpf"/' "$GRUB_FILE"
fi
sudo update-grub
echo "BPF LSM이 활성화되었습니다. 재부팅하세요."
EOF
chmod +x /tmp/enable_bpf_lsm.sh
sudo /tmp/enable_bpf_lsm.sh

# Rust 설치
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh

# 빌드 종속성 설치 (Ubuntu/Debian)
sudo apt-get install -y clang llvm libelf-dev linux-headers-$(uname -r)

# Rust용 BPF 타겟 설치
rustup target add bpfel-unknown-none

cd bpfjail

# BPF 프로그램 빌드
cd bpfjailer-bpf && cargo build --release && cd ..

# 데몬 및 클라이언트 빌드
cargo build --release

# root로 실행 (config/policy.json이 있으면 로드)
sudo RUST_LOG=info ./target/release/bpfjailer-daemon

[INFO] BpfJailer daemon starting...
[INFO] Loading BpfJailer eBPF programs with libbpf-rs...
[INFO] ✓ pending_enrollments map available for enrollment
[INFO] ✓ network_rules map available for port/protocol filtering
[INFO] ✓ task_storage map created successfully
[INFO] ✓ Program task_alloc attached
[INFO] ✓ Program file_open attached
[INFO] ✓ Program socket_bind attached
[INFO] ✓ Program socket_connect attached
[INFO] ✓ Program bprm_check_security attached
[INFO] Initialized with default roles: restricted (1), permissive (2)
[INFO] Loaded policy from config/policy.json
[INFO] Loaded 5 roles
[INFO] Enrollment server listening on /run/bpfjailer/enrollment.sock

# 감옥 없이 취약점 테스트 실행 (공격 성공 표시)
sudo python3 tests/vulnerable_apps/run_tests.py

# 제한된 역할로 취약점 테스트 실행 (공격 차단 표시)
sudo python3 tests/vulnerable_apps/run_tests.py --role 1

# 특정 테스트 실행
sudo python3 tests/vulnerable_apps/run_tests.py --role 1 --test path

# 사용 가능한 테스트 및 역할 목록
sudo python3 tests/vulnerable_apps/run_tests.py --list

============================================================
TEST: Path Traversal / Arbitrary File Read
============================================================
Attempting to read /etc/passwd via path traversal...
BLOCKED - Permission denied (BpfJailer blocked file access)

============================================================
TEST: Command Injection
============================================================
Attempting command injection...
BLOCKED - Permission denied (BpfJailer blocked exec)

============================================================
TEST: Reverse Shell / Data Exfiltration
============================================================
Test 1: Reverse shell connection to 127.0.0.1:4444
BLOCKED - Permission denied (BpfJailer blocked connect)

#!/usr/bin/env python3
import socket
import json
import os

# 데몬에 연결
sock = socket.socket(socket.AF_UNIX, socket.SOCK_STREAM)
sock.connect("/run/bpfjailer/enrollment.sock")

# 제한된 역할(ID 1)로 등록
request = {"Enroll": {"pod_id": 1, "role_id": 1}}
sock.send((json.dumps(request) + "\n").encode())
response = sock.recv(4096).decode()
print(f"등록: {response}")
sock.close()

# 파일 읽기 시도 (차단되어야 함)
try:
    open("/etc/passwd").read()
    print("파일 접근: 허용됨")
except PermissionError:
    print("파일 접근: 차단됨")

{
  "roles": {
    "restricted": {
      "id": 1,
      "name": "restricted",
      "flags": {
        "allow_file_access": false,
        "allow_network": false,
        "allow_exec": false
      },
      "network_rules": []
    },
    "webserver": {
      "id": 3,
      "name": "webserver",
      "flags": {
        "allow_file_access": true,
        "allow_network": true,
        "allow_exec": false
      },
      "network_rules": [
        {"protocol": "tcp", "port": 80, "allow": true},
        {"protocol": "tcp", "port": 443, "allow": true}
      ]
    }
  },
  "pods": []
}

network_rules 맵:
  키: { role_id, port, protocol, direction }
  값: 허용(1) 또는 거부(0)

// 데몬 코드에서:
use bpfjailer_daemon::process_tracker::{PROTO_TCP, DIR_CONNECT};

// 포트 80과 443에 대한 TCP connect만 허용
process_tracker.add_network_rule(RoleId(1), 80, PROTO_TCP, DIR_CONNECT, true)?;
process_tracker.add_network_rule(RoleId(1), 443, PROTO_TCP, DIR_CONNECT, true)?;

{
  "network_rules": [
    {"protocol": "tcp", "port": 443, "allow": true},
    {"protocol": "tcp", "port_start": 8000, "port_end": 8100, "allow": true}
  ]
}

┌─────────────────────────────────────────────────────────────┐
│                     사용자 공간                               │
├─────────────────────────────────────────────────────────────┤
│  ┌─────────────┐    ┌──────────────────┐                    │
│  │   클라이언트  │───▶│  bpfjailer-daemon │                    │
│  │  (등록)      │    │                  │                    │
│  └─────────────┘    │  - PolicyManager │                    │
│                     │  - ProcessTracker│                    │
│                     │  - EnrollmentSvr │                    │
│                     └────────┬─────────┘                    │
│                              │ 기록                          │
│                              ▼                              │
├─────────────────────────────────────────────────────────────┤
│                     BPF 맵                                   │
│  ┌──────────────────┐  ┌─────────────┐  ┌──────────────┐   │
│  │pending_enrollments│  │ role_flags  │  │ task_storage │   │
│  │   (PID → 정보)    │  │ (역할→플래그) │  │(작업→정보)   │   │
│  └──────────────────┘  └─────────────┘  └──────────────┘   │
├─────────────────────────────────────────────────────────────┤
│                     BPF LSM 훅                               │
│  ┌────────────┐ ┌───────────┐ ┌─────────────┐ ┌──────────┐ │
│  │ task_alloc │ │ file_open │ │socket_bind/ │ │bprm_check│ │
│  │(상속 + 초기)│ │(마이그레이션 │ │  connect    │ │_security │ │
│  │            │ │ + 검사)   │ │  (검사)     │ │ (검사)   │ │
│  └────────────┘ └───────────┘ └─────────────┘ └──────────┘ │
└─────────────────────────────────────────────────────────────┘

# systemd 서비스 설치
sudo cp config/bpfjailer-daemon.service /etc/systemd/system/
sudo cp target/release/bpfjailer-daemon /usr/sbin/
sudo mkdir -p /etc/bpfjailer
sudo cp config/policy.json /etc/bpfjailer/

# 활성화 및 시작
sudo systemctl daemon-reload
sudo systemctl enable bpfjailer-daemon
sudo systemctl start bpfjailer-daemon

# 부트스트랩 서비스 설치
sudo cp config/bpfjailer-bootstrap.service /etc/systemd/system/
sudo cp target/release/bpfjailer-bootstrap /usr/sbin/
sudo mkdir -p /etc/bpfjailer
sudo cp config/policy.json /etc/bpfjailer/

# 활성화 (다음 부팅 시 실행)
sudo systemctl daemon-reload
sudo systemctl enable bpfjailer-bootstrap

# 또는 지금 수동 실행
sudo bpfjailer-bootstrap

ls -la /sys/fs/bpf/bpfjailer/
ls -la /sys/fs/bpf/bpfjailer/maps/
ls -la /sys/fs/bpf/bpfjailer/progs/

# 이벤트는 perf 버퍼로 전송되며 journald가 수집
journalctl -f | grep bpfjailer

# 커널 버전 확인 (5.11+ 필요)
uname -r

# BPF LSM 활성화 확인
cat /sys/kernel/security/lsm | grep bpf

# BTF 사용 가능 확인
ls -la /sys/kernel/btf/vmlinux

# BPF 프로그램 로드 가능 확인
sudo bpftool prog list

# 기능 확인
sudo capsh --print | grep cap_bpf

# 데몬이 root로 실행 중인지 확인
ps aux | grep bpfjailer

# 소켓 권한 확인
ls -la /run/bpfjailer/enrollment.sock

{
  "exec_enrollments": [
    {
      "executable_path": "/usr/bin/nginx",
      "pod_id": 1000,
      "role": "webserver"
    }
  ]
}

{
  "cgroup_enrollments": [
    {
      "cgroup_path": "/sys/fs/cgroup/bpfjailer/sandbox",
      "pod_id": 2000,
      "role": "sandbox"
    }
  ]
}

# cgroup 생성
sudo mkdir -p /sys/fs/cgroup/bpfjailer/sandbox

# 프로세스를 cgroup으로 이동
echo $$ | sudo tee /sys/fs/cgroup/bpfjailer/sandbox/cgroup.procs

# 이제 프로세스가 sandbox 역할로 자동 등록됨

# 등록 xattr 설정
sudo setfattr -n user.bpfjailer.pod_id -v $(printf '\x01\x00\x00\x00\x00\x00\x00\x00') /path/to/binary
sudo setfattr -n user.bpfjailer.role_id -v $(printf '\x03\x00\x00\x00') /path/to/binary

# xattr 확인
getfattr -d /path/to/binary